Segurança

Na MarketingMonster, a segurança é nossa maior prioridade. Você nos confia os dados da sua empresa, suas informações de pagamento e seus dados pessoais, e levamos essa responsabilidade a sério. Adotamos uma abordagem de segurança em várias camadas, que combina as melhores práticas do setor, criptografia forte e monitoramento contínuo para proteger suas informações contra acessos não autorizados, violações de dados e ameaças cibernéticas.

Este documento descreve as medidas de segurança que implementamos para proteger seus dados e garantir a integridade da nossa plataforma. Ele se aplica a todos os usuários, funcionários, contratados e prestadores de serviços terceirizados que acessam, tratam ou armazenam dados da MarketingMonster.

Finalidade e escopo. Esta política estabelece os requisitos mínimos de segurança que regem a plataforma, a infraestrutura e as práticas de tratamento de dados da MarketingMonster. Ela se aplica a todos os sistemas, redes, aplicações e pessoas envolvidos no tratamento de dados de usuários.

Obrigações de conformidade. Mantemos nosso programa de segurança alinhado aos requisitos legais e regulatórios aplicáveis, incluindo as leis de proteção de dados e de privacidade das jurisdições em que operamos. Quando obrigações contratuais ou regulatórias impuserem requisitos mais rigorosos, esses requisitos prevalecerão.

A criptografia é a base da nossa estratégia de proteção de dados. Os seguintes controles são aplicados em toda a nossa plataforma:

• Todos os dados transmitidos entre o seu dispositivo e os nossos servidores são criptografados com TLS, padrão do setor. Conexões HTTP sem criptografia são redirecionadas, e os cookies de sessão são marcados como seguros e não podem ser lidos por scripts.
• Os dados sensíveis em repouso, incluindo segredos e dados pessoais, são criptografados com AES-256.
• As senhas passam por hash com salt usando um algoritmo de hash projetado especificamente para senhas; por isso, nunca são armazenadas em texto simples e não podem ser recuperadas, nem mesmo pela nossa equipe.
• As conexões com o banco de dados são autenticadas e restritas à nossa própria rede, e todas as consultas são construídas por meio de drivers tipados com valores parametrizados, o que elimina a possibilidade de ataques de injeção.
• Atualizamos nossos protocolos de criptografia à medida que os padrões em que nos baseamos mudam.

Implementamos mecanismos de autenticação robustos para garantir que somente usuários autorizados possam acessar suas contas. Isso inclui:

• Autenticação de dois fatores com um código temporário gerado por um aplicativo autenticador.
• Requisitos de complexidade de senha e limite de tentativas de login para dificultar tentativas de adivinhação.
• Gerenciamento de sessões com expiração automática após períodos de inatividade e invalidação no servidor quando você sai da conta ou altera sua senha.
• As solicitações que fazem qualquer alteração precisam vir das próprias páginas da MarketingMonster: o servidor verifica a origem da solicitação e rejeita envios feitos a partir de outros sites.

O acesso a recursos e dados sensíveis é restrito com base em funções e permissões de usuário. Seguimos o princípio do menor privilégio, garantindo que usuários, funcionários e sistemas tenham acesso somente aos dados e recursos de que precisam.

Verificação de identidade. A autenticação de dois fatores está disponível para todas as contas e é esperada dos administradores. As contas de usuário são verificadas no cadastro por meio do endereço de e-mail usado para criá-las, e alterações na conta que afetam as configurações de segurança, como uma nova senha ou uma mudança na autenticação de dois fatores, acionam etapas adicionais de verificação.

Revisão de acessos. As funções e permissões de usuário são revisadas periodicamente para garantir que o acesso continue adequado e alinhado ao princípio do menor privilégio.

A MarketingMonster aceita pagamentos com cartão e PayPal por meio de provedores de pagamento consolidados e em conformidade com o PCI DSS. Os pagamentos são feitos em páginas hospedadas por esses provedores; assim, o número do seu cartão, o código de segurança e as credenciais do PayPal são inseridos nelas e nunca passam pelos nossos servidores.

• Recebemos e mantemos apenas o que precisamos para gerenciar sua conta: o valor, a moeda, o resultado, o plano e a referência do provedor para a transação.
• Toda notificação de pagamento que um provedor nos envia é verificada junto ao provedor antes de ser processada, e as notificações são desduplicadas para que uma mensagem repetida nunca possa creditar um pagamento duas vezes.
• O saldo da sua conta é mantido em um livro-razão no qual cada movimentação é registrada uma única vez, de modo que os saldos não podem ser gastos duas vezes nem ficar abaixo do que foi pago.
• Os dados das transações são criptografados e armazenados com segurança, e mantemos logs detalhados das transações para auditoria e prevenção de fraudes.

Supervisão de provedores terceirizados. Os provedores de pagamento contratados pela MarketingMonster são avaliados quanto à postura de segurança e à conformidade com os padrões do setor antes da integração e, depois disso, passam por revisões periódicas.

Cada ferramenta que você abre é executada em uma sessão criada exclusivamente para a sua conta, no servidor que você escolheu, por meio de uma chave assinada por dispositivo. As sessões nunca são compartilhadas entre usuários e terminam quando você se desconecta ou quando a sessão expira; depois disso, mantemos apenas o registro de que a sessão existiu, nunca o que você fez dentro dela.

• As credenciais que dão a uma sessão de ferramenta acesso a uma ferramenta de terceiros ficam no servidor e nunca são enviadas ao seu navegador ou dispositivo.
• Os limites de sessões e de dispositivos de cada plano são aplicados no servidor, e padrões incomuns, como muitos dispositivos ou acesso automatizado, são detectados e bloqueados.
• O aplicativo para desktop se comunica com a mesma API autenticada que o painel web, atualiza-se a partir de versões assinadas e não lê seus arquivos nem sua navegação fora do aplicativo.

Nossa infraestrutura está hospedada em servidores seguros, de nível empresarial, com sistemas redundantes e backups regulares. Empregamos:

• Firewalls e sistemas de detecção de intrusão que monitoram e bloqueiam tentativas de acesso não autorizado; nada na camada de dados pode ser acessado pela internet pública.
• Limites de requisições em todos os endpoints públicos, incluindo login, cadastro, redefinição de senha e pagamento, para que tráfego abusivo não possa esgotar o serviço para todos os demais.
• Auditorias de segurança e testes de invasão regulares para identificar e corrigir vulnerabilidades, com cada descoberta acompanhada até sua resolução.
• Sistemas automatizados de monitoramento e alerta que detectam atividades suspeitas em tempo real.
• Planos de recuperação de desastres que garantem a continuidade dos negócios em caso de imprevistos, testados regularmente.

Atualizamos regularmente nosso software, sistemas e dependências para corrigir vulnerabilidades conhecidas e nos proteger contra ameaças emergentes. Nossa equipe de desenvolvimento segue práticas de codificação segura, revisa cada alteração antes de ela ser lançada e executa um conjunto de testes automatizados que cobre os fluxos da plataforma relevantes para a segurança.

As correções de segurança são aplicadas prontamente, e acompanhamos os alertas de segurança de fornecedores e de organizações de segurança para nos mantermos informados sobre possíveis ameaças.

Divulgação de vulnerabilidades. Mantemos uma política de divulgação responsável. Pesquisadores de segurança e o público em geral podem relatar suspeitas de vulnerabilidades para [email protected]. Confirmamos o recebimento dos relatos e os investigamos de acordo com nosso processo de divulgação responsável, e não tomamos medidas contra pesquisadores que agem de boa-fé e nos dão um prazo razoável para corrigir o que encontraram.

Realizamos backups automáticos regulares de todos os dados das contas para garantir a integridade e a disponibilidade dos dados. Os backups são criptografados e armazenados em locais seguros e geograficamente distribuídos.

• Nossos sistemas de backup são testados regularmente para garantir que funcionem corretamente.
• Mantemos várias cópias de backup com diferentes períodos de retenção para proteger contra a perda de dados, e os backups são destruídos ao final do período de retenção para que dados excluídos não permaneçam armazenados.
• Em caso de perda ou corrupção de dados, contamos com procedimentos de recuperação para restaurar seus dados o mais rápido possível.

Embora implementemos medidas de segurança robustas, você também tem um papel fundamental na proteção da sua conta:

• Use uma senha forte e exclusiva e ative a autenticação de dois fatores. Guarde a chave de configuração manual em um lugar seguro.
• Nunca compartilhe as credenciais da sua conta com outras pessoas. Cada conta é para uma única pessoa.
• Mantenha seus dispositivos, seu navegador e o aplicativo para desktop atualizados com as correções de segurança mais recentes.
• Fique atento a tentativas de phishing e e-mails suspeitos. Nunca pedimos sua senha por e-mail, e os pagamentos acontecem somente nas páginas dos nossos provedores de pagamento.
• Sempre confirme que as comunicações são da MarketingMonster antes de fornecer qualquer informação sensível e saia da sua conta em dispositivos compartilhados.
• Se você notar qualquer atividade suspeita, entre em contato conosco imediatamente em [email protected].

Revisão e atualizações. Esta política é revisada periodicamente e atualizada conforme necessário para refletir mudanças na tecnologia, nos requisitos regulatórios e nas melhores práticas do setor. A versão mais atual é publicada em nossa plataforma.

Aplicação. O cumprimento desta política é obrigatório para todos os funcionários, contratados e terceiros com acesso aos sistemas ou dados da MarketingMonster. Violações podem resultar em medidas disciplinares, podendo chegar ao encerramento do acesso ou à rescisão do vínculo de trabalho, e podem ser comunicadas às autoridades competentes quando exigido por lei.

Aprovação. Esta política foi aprovada pela autoridade de segurança e de gestão designada pela MarketingMonster. Quaisquer exceções a esta política devem ser formalmente solicitadas, documentadas e aprovadas por escrito pelo aprovador autorizado.

Exceções. As solicitações de exceção a esta política devem ser enviadas por escrito à autoridade de segurança designada, incluindo uma justificativa, uma avaliação de riscos e os controles compensatórios propostos. As exceções aprovadas têm prazo limitado e estão sujeitas a revisões periódicas.

Dúvidas sobre esta política podem ser enviadas para [email protected].